Pesquisador alemão diz que tecnologia ainda precisa evoluir
O pesquisador Jan Krissler disse a uma plateia de hackers, em Hamburgo, na Alemanha, que poderia se passar pela secretária de Defesa do país, Ursula von der Leyen. Ninguém sabia o que esperar. De laptop em mãos, ele recolheu na internet fotos em alta resolução da secretária, colocou as imagens em um software de edição e recortou detalhes que mostravam as mãos de Ursula. Com poucos cliques, recriou uma imagem da digital do polegar da ministra. Em seguida, imprimiu a imagem e a colou em um molde de madeira que imitava um dedo em tamanho real. “Pronto”, disse. Com a imitação, poderia se passar pela chefe da Defesa alemã perante dezenas de sistemas de segurança, de celulares a bancos. Junto dos aplausos, veio a dúvida: seriam os leitores de impressões digitais tão inseguros assim? E os demais sistemas biométricos de segurança? Krissler responde afirmativamente para ambas as questões. “Quase todos os sistemas do mercado podem ser enganados com muito pouco esforço”, diz o pesquisador, em entrevista a VEJA.com. Estudioso da Universidade Técnica de Berlim e da empresa T-Labs, que pertence Deutsche Telekom, uma das maiores companhias da Alemanha, ele se dedica ao assunto há dez anos. Nesse período, tem sido contratado para testar a eficácia de sistemas que reconhecem dados corporais – impressões digitais, padrões de rosto, íris etc. Sua missão é burlar todos. E tem conseguido. Leia os principais trechos da entrevista a seguir.
Você estuda os sistemas biométricos de segurança há anos e afirma que eles são bastante falhos. Por quê? A resposta é simples: praticamente todos os ataques que realizei dez anos atrás continuam possíveis hoje. Talvez seja preciso ajustar uma ou outra técnica, devido a avanços tecnológicos, mas no fim todos os sistemas podem ser hackeados, exatamente como há uma década.
O que torna esses sistemas tão ineficazes? Quase todos os sistemas do mercado podem ser enganados com muito pouco esforço. No caso dos sistemas de reconhecimento facial ou de íris, em geral, basta obter uma foto em alta resolução da uma pessoa e imprimi-la. Pronto: obtém-se o material necessário para burlar os sistemas. É bem fácil. Qualquer um pode fazer em casa.
Como o sistema de reconhecimento facial é quebrado? O processo para enganar esses sistemas é muito fácil. Chega a ser ridículo. Os sistemas de reconhecimento facial pedem que o usuário tire uma foto do rosto iluminada de modo homogêneo. É a única exigência. Você só precisa imprimir uma imagem e segurar diante da câmera que opera com o sistema. Algumas vezes, o sistema pede que o rosto se movimente para detectar, digamos, a vida do objeto. Nesse caso, em vez de imprimir uma foto, basta gravar um vídeo do rosto em movimento e reproduzi-lo em uma tela grande, um tablet ou notebook.
Muitas companhias estão usando leitores de digitais como recurso de segurança para smartphones, tablets e computadores. Você, contudo, diz isso que é um retrocesso. Por quê? A principal conclusão do meu estudo é que a impressão digital é um recurso ineficaz de segurança. Nunca foi confiável, mas agora está ainda mais fácil de burlá-lo. Há alguns anos, eu já havia mostrado que é possível reconstruir virtualmente uma impressão digital a partir das marcas que os dedos deixam em telas lustrosas, vidros e superfícies similares. Só havia uma limitação para essa técnica de fraude: só era, é claro, possível obter as digitais de pessoas se você esteve no mesmo local que elas. Isso mudou. Hoje, é possível “roubar” as digitais de alguém retirando a informação de fotos em alta resolução que estão disponíveis na internet. Com algumas imagens e um software simples, constrói-se as marcas digitais. Aí, basta inseri-las num molde do tamanho do dedo. Os sistemas de segurança não diferenciam o molde do original. O truque funciona com todos os detectores, incluindo os dos telefones mais modernos de hoje, como o Touch ID dos iPhones, caixas de banco e até aqueles usados para controlar entrada e saída de pessoas nas fronteiras.
Se o sistema é tão inseguro, por que empresas como Apple investem nessa tecnologia? É um consenso que sistemas de leitura de impressões digitais são fáceis de hackear. Para muitas pessoas, contudo, eles representam um aumento de segurança. Elas usam “senhas fracas”, sequências que podem ser facilmente descobertas, como “123456” ou “qwerty” e, por isso, ficam vulneráveis. O aparecimento de dispositivos com leitores de digitais está ligado a isso. Para pessoas que são descuidadas com suas senhas, eles oferecem uma boa saída: são confortáveis e passam a falsa sensação de segurança. Mas, note-se, é uma falsa sensação.
As companhias sabem que o leitor de digitais não é uma boa solução de segurança? Sabem. Mas o que está em jogo aqui é qual é o tipo de objeto que você quer proteger com esse sistema e quais são as alternativas. O TouchID, por exemplo, é um passo adiante para usuários que, antes dele, usavam unicamente senhas fracas. Além disso, ainda que um criminoso consiga burlar o sistema, o que demanda algum esforço, ele provavelmente encontrará muito pouca coisa ao invadir o aparelho. A questão é que essa tecnologia está se expandindo para vários setores, que guardam informações mais valiosas, e os sistemas não foram aprimorados. Isso pode motivar fraudes enormes.
Em sua pesquisa, você afirma também que consegue ler as senhas a partir do movimento dos olhos das pessoas. Como? Basta analisar a luz refletida pelo teclado dos smartphones nos olhos dos usuários desses aparelhos. Conseguimos capturar essas imagens por meio da câmera frontal do próprio smartphone. Você só precisa ter acesso à câmera para espiar alguém digitando a senha. Uma série de aplicativos garante esse tipo de acesso. A câmera frontal sempre aponta para a direção dos olhos enquanto o usuário digita. Ainda não é um grande problema de segurança porque as câmeras frontais da maioria dos telefones trabalha com baixa resolução. Mas estão surgindo muitos smartphones com câmeras de alta qualidade: isso alimentará esse tipo de espionagem.
O que podemos fazer para nos proteger dessa ameaça? O jeito mais fácil é desabilitar a câmera ou vedá-la. Uma solução de baixo custo é usar uma fita adesiva, como muitos passaram a fazer depois que surgiram notícias de espionagem. Mas é bom ressaltar que também é possível usar câmeras potentes à distância para espiar diretamente a tela ou o reflexo da luz dos teclados na retina.
Quase todos os truques para burlar sistemas biométricos estão associados à enorme quantidade de fotos e vídeos postados nas redes. Nesse sentido, as redes nos tornam menos protegidos?Acredito que o problema não são as fotos e vídeos na internet, e sim a segurança ineficaz dos sistemas biométricos contra tentativas de falsificação. Sempre será possível captar imagens de dados biométricos. A internet só torna a tarefa mais fácil. Mas não haveria problema se os sistemas não pudessem ser enganados por digitais falsas e fotos de rostos, por exemplo.
O que as empresas precisam fazer para tornar seus sistemas biométricos seguros? Primeiro, as companhias precisam melhorar a detecção de estruturas falsas. Enquanto você puder enganar sistemas com construções toscas e impressões, a biometria não pode ser considerada substituta das senhas. Em segundo lugar, os sistemas deveriam pedir ao usuário apenas dados que não deixam rastros no dia a dia. Digitais, como mostrei, podem ser reconstruídas a partir de marcas em vidro ou por meio fotos. É muito fácil obtê-las. O ideal é que não sirvam como proteção.
Qual é a maneira mais segura para se proteger hoje? Pode parecer antiquado, mas uma senha bem escolhida é uma proteção totalmente segura. Nada supera isso.
No Brasil, o único banco que permite acesso a contas pelo smartphone via leitura de digitais é o Bradesco. A companhia garante, porém, que a possiblidade de fraude é nula. “O leitor de digitais apenas dá acesso à conta. Para realizar transações, é necessário informar senha e número do tolkien. Ou seja, há mais dois níveis de segurança”, diz Luca Cavalcanti, diretor de canais digitais do Bradesco. Nos saques em caixas eletrônicos feitos sem cartão, afirma o diretor, nunca foi registrada fraude. Ele ressalta que a tecnologia de leitura biométrica nos caixas é diferente da presente no smartphone: em lugar da leitura de digitais, a tecnologia reconhece os padrões das veias da mão do usuário.
Diversos fabricantes estão adotando sistemas biométricos de segurança em smartphones e tablets, como Motorola, Samsung, HTC e Apple, que inseriu o Touch ID em seus iPhones 5S, 6 e 6 Plus. A previsão do mercado, diz o consultor americano de tecnologia Alan Goode, é que surjam mais aparelhos com esse tipo de tecnologia. “Os leitores de digitais são muito convenientes para pagamentos e vários serviços móveis, mas, é claro, não existe um serviço 100% seguro”, diz Goode. “Eles precisam aprimorar seus sistemas de detecção à medida que suas aplicações se multipliquem.” Para Goode, os fraudadores ainda não estão interessados em burlar leitores de digitais de celulares porque esses aparelhos ainda guardam dados pouco valiosos se comparados a outros alvos de fraude. “Tudo é uma questão de negócio. Eles preferem hackear sistemas que dão mais retorno financeiro.”
Fonte: Veja